りそな3行で顧客情報漏洩か　委託先攻撃の経緯とフィッシング対策

りそな3行に波及した委託先侵害の意味

りそな銀行、埼玉りそな銀行、関西みらい銀行は2026年10月27日、顧客のメールアドレスなどが外部へ持ち出された可能性があると発表しました。攻撃を受けたのは3行の勘定系システムではなく、メール配信を委託していたユミルリンクの「Cuenote FC」です。

口座番号や暗証番号などの金融取引情報は対象外ですが、メールアドレスはフィッシングの入り口になり得ます。また、一つのSaaS事業者に対する侵害が多数の導入企業へ波及した点は、金融機関の委託先管理を考えるうえで重要です。判明している攻撃経路、利用者が警戒すべき二次被害、金融機関に求められる対策を整理します。

判明した情報範囲と不正アクセスの連鎖

対象はメールアドレスと配信用識別子

3行の発表によると、持ち出された可能性があるのは顧客のメールアドレスと、メール配信のために採番された管理番号です。管理番号だけで個人を特定することはできず、対象件数はユミルリンクが調査しています。

口座番号、暗証番号、インターネットバンキングのパスワード、クレジットカード情報などは含まれていません。現時点で、りそなグループの銀行システムそのものが侵害されたとの発表もありません。このため、直ちに預金が引き出される種類の情報漏洩とは区別する必要があります。

もっとも、金融取引情報が含まれないことは、危険がないことを意味しません。攻撃者が流出元とメールアドレスを結び付けられれば、りそなグループとの取引を装った標的型メールを作りやすくなります。偽サイトへ誘導して暗証番号や認証コードを後から入力させる「二段階目の攻撃」が主要なリスクです。

脆弱性から認証情報・セッション窃取への連鎖

ユミルリンクは10月16日未明、担当者のアカウントに異常があったことから調査を開始しました。同社の第一報では、プログラムの脆弱性が悪用され、サポート・品質管理担当者の認証情報が取得されたと説明しています。

攻撃者は不正プログラムを設置し、データベースから情報を出力していました。さらに、取得した担当者用の認証情報を使い、別のシステムにもログインを試みたことが確認されています。

第二報では、不正プログラムを介した他システムのデータ参照や、ログイン中の利用者を識別するセッション情報の取得も判明しました。これは、脆弱性の悪用だけで終わらず、認証情報やセッションを足掛かりに侵害範囲が広がったことを示します。

ユミルリンクは、脆弱性の修正、関連する担当者用認証情報の削除、不正プログラムの監視、接続元IPアドレスの制限などを実施しました。ただし、脆弱性が生じた開発・運用上の背景や、攻撃者が最初に侵入した時点など、最終的な原因分析は調査の完了を待つ必要があります。

初動判断を覆したログの遡及調査

りそなグループは10月19日、ユミルリンクから一部システムで情報が持ち出されたとの連絡を受けました。21日には、3行の顧客情報は外部へ持ち出されていないとの説明を受けています。

しかし、ユミルリンクがログイン履歴や操作記録を遡って調査した結果、25日夜に新たな42システムで不正アクセスとデータ出力の記録が見つかりました。26日には、りそなグループの情報を含むシステムでも持ち出しの可能性が高いとの判断に変わり、3行が翌日に公表しました。

ユミルリンクの第一報では、対象は5システム、出力された情報はメールアドレスを含む延べ約900万件との試算でした。第二報では、Cuenote FCの49システムで漏洩の痕跡が確認され、漏洩のおそれがある情報は延べ5162万8280件に拡大しています。

この数字はユミルリンクの顧客全体に関する延べ件数であり、りそな3行だけの件数でも、同数の個人が被害を受けたことを示す数字でもありません。調査中のシステムが残っているため増加する可能性もあり、りそなの対象者数とは明確に切り分けて捉える必要があります。

金融SaaSに潜む集中リスクと管理の弱点

分離環境でも残る共通管理面の危険

Cuenote FCでは、不正アクセスが試みられた単一企業向け78システムのうち、49システムで情報漏洩の痕跡が確認されました。一方、複数企業が共同利用する3システムでは、漏洩の痕跡は確認されていません。

この結果は、利用企業ごとに環境を分けるだけでは、共通する運用経路のリスクを消せないことを示唆します。サポート担当者の認証情報、共通ライブラリ、セッション管理、監視基盤などに横断的な権限や機能があれば、そこが侵害拡大の経路になり得るためです。

メール配信サービスには、配信先のアドレスだけでなく、差し込み表示や配信対象の抽出に使う氏名、地域、生年月日などが登録される場合があります。登録項目は導入企業によって異なり、同じサービスでも漏洩時の影響は一様ではありません。

りそな3行について、現時点で公表された対象がメールアドレスと配信用管理番号に限られている点は重要です。委託先に渡すデータを必要最小限に抑える設計が、侵害発生後の被害範囲を左右することが分かります。

委託元に残る監督責任

個人情報保護委員会のガイドラインは、個人データの処理を外部へ委託する場合、委託先の選定や安全管理措置の把握など、必要かつ適切な監督を委託元に求めています。報告対象となる漏洩では、原則として委託元と委託先の双方が報告義務を負う仕組みです。

金融庁のサイバーセキュリティ・ガイドラインも、サードパーティーの台帳整備、重要度に応じたリスク評価、監査権限、脆弱性対応、インシデント報告、データの保管・廃棄などを契約で明確にするよう求めています。取引開始時の審査だけでなく、契約期間中の継続的な監視も基本的な対応事項です。

りそなグループも事業リスクの説明で、委託先へのサイバー攻撃により顧客情報が漏洩する可能性を挙げています。委託先の適格性検証、情報管理体制の確認、契約中の継続管理を行う方針も示してきました。

本件だけから、りそな側の委託先管理に不備があったと断定することはできません。今後問われるのは、方針や規程の有無ではなく、脆弱性管理、特権アカウントの統制、ログ保存、事故連絡の期限などを実際にどこまで検証していたかです。

契約審査から継続監視への転換

外部サービスのセキュリティ認証やチェックシートは、審査時点の状態を示す資料にすぎません。ソフトウェアの更新、新たな脆弱性、担当者権限の変更によって、リスクは契約後も変化します。

金融庁が2026年4月に公表したサードパーティー管理の調査では、脅威情報や外部公開資産の調査を使った継続監視、インシデントを想定した共同訓練、代替サービスへの切り替えを含む出口計画などが紹介されています。重要な委託先については、質問票への回答だけに依存しない監視が必要です。

今回の調査では、当初影響がないとされた企業についても、ログの遡及確認で判断が変わりました。委託契約には「判明した事実」だけでなく、調査中の不確実性、確認済みのログ範囲、次回報告の期限を共有する手順も盛り込むべきです。

データ量を減らす対策も欠かせません。配信が終わったアドレス帳や行動履歴を漫然と残さず、保存期間を設定し、不要な属性を削除することで、侵害時の被害規模を抑えられます。マーケティング上の利便性と、保有し続けるリスクを定期的に比較する視点が求められます。

二次被害と追加調査で残る三つの焦点

今後の焦点は、第一にりそな3行それぞれの対象件数と対象者の確定です。第二に、脆弱性が生じた原因、攻撃者の侵入時期、認証情報やセッション情報が悪用できた範囲の解明です。第三に、流出情報を使ったフィッシングや不正利用の継続監視です。

ユミルリンクは第二報の時点で、漏洩情報の不特定多数への公開や、本件に起因する不正利用は確認していないとしています。一方、同社ドメインを送信元として表示し、カード会社を装った迷惑メールは複数確認されました。これらと漏洩情報の直接的な因果関係は公表されていませんが、送信元表示だけでメールを信用できない状況です。

対象件数が増えたこと自体は、調査の失敗だけを意味するものではありません。フォレンジック調査では、新しい痕跡によって影響範囲が更新されることがあります。ただし、初期発表と確定情報を混同させない説明や、変更理由を時系列で示す透明性が信頼回復の条件になります。

利用者と金融機関が直ちに取るべき行動

利用者は、りそなグループを名乗るメールやSMSのリンクからログインせず、公式アプリや保存済みの公式サイトから確認してください。3行は、電子メールでパスワードや暗証番号を尋ねることはないと明示しています。

今回公表された範囲だけを理由に、カードの一律再発行や銀行パスワードの変更が必要とは示されていません。ただし、偽サイトで情報を入力した場合は、公式サイトから直ちにパスワードを変更し、該当する銀行へ連絡する必要があります。取引通知や入出金明細の確認も有効です。

金融機関には、対象者への分かりやすい個別通知に加え、委託先へ渡していた項目、保存期間、調査の進捗を継続的に示す対応が求められます。投資家や取引先は、ユミルリンク全体の延べ件数をりそなの被害件数と誤認せず、最終的な対象件数、追加対策、サービス継続への影響を見極めることが重要です。

参考資料:

• 外部委託先への不正アクセスによるお客さま情報の漏えいの可能性について（りそなグループ）
• 当社システムへの不正なアクセスに関するご報告（第二報）（ユミルリンク）
• 当社システムへの不正なアクセスに関するご報告（第一報）（ユミルリンク）
• 当社ドメイン、第三者を騙った迷惑メールにご注意ください（ユミルリンク）
• 自分の個人情報等が漏えいした際の対処と日頃の対策（IPA）
• 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）
• 金融分野におけるサイバーセキュリティに関するガイドライン（金融庁）
• 金融機関のサードパーティ・サイバーセキュリティリスク管理強化に関する調査（金融庁）
• 事業等のリスク（りそなホールディングス）
• ユミルリンクで発生した不正アクセスに伴うメールアドレス等の漏えいについて（JR3社）
• メール配信サービスの休止について（SBI新生銀行）
• Cuenote FC不正アクセスの影響広がる（INTERNET Watch）
• りそな・関西みらい銀行など3行も会員情報漏えい（関西テレビ）